day 091 DRF -- 版本 | 认证 | 权限 | 限制

主要内容:

  • 1.版本控制
  • 2.认证
  • 3.权限
  • 4.限制

1.版本控制

1.1 版本控制的缘由

  • API 版本控制允许我们在不同的客户端之间更改行为（同一个接口的不同版本会返回不同的数据）。 DRF提供了许多不同的版本控制方案。
  • 可能会有一些客户端因为某些原因不再维护了，但是我们后端的接口还要不断的更新迭代，这个时候通过版本控制返回不同的内容就是一种不错的解决方案

1.2 DRF - 版本控制方案

       

1.3 版本控制系统的使用

  • (1)在settings文件中的配置(全局配置) 
    #setting是文件中DRF的配置
REST_FRAMEWORK = {
    ...
    'DEFAULT_VERSIONING_CLASS': 'rest_framework.versioning.URLPathVersioning',
    'DEFAULT_VERSION': 'v1',  # 默认的版本
    'ALLOWED_VERSIONS': ['v1', 'v2'],  # 有效的版本
    'VERSION_PARAM': 'version',  # 版本的参数名与URL conf中一致
}
  • (2) 路由 
    urlpatterns = [
    ...
    url(r'^(?P<version>[v1|v2]+)/publishers/$', views.PublisherViewSet.as_view({'get': 'list', 'post': 'create'})),
    url(r'^(?P<version>[v1|v2]+)/publishers/(?P<pk>d+)/$', views.PublisherViewSet.as_view({'get': 'retrieve', 'put': 'update', 'delete': 'destroy'})),

]
  • (3)视图 
    #不同版本使用不同的序列化类
class PublisherViewSet(ModelViewSet):

    def get_serializer_class(self):
        """不同的版本使用不同的序列化类"""
        if self.request.version == 'v1':
            return PublisherModelSerializerVersion1
        else:
            return PublisherModelSerializer
    queryset = models.Publisher.objects.all()

注:局部配置:

# 可以在视图中设置versioning_class属性，如下：
class PublisherListView(ListCreateAPIView):
    queryset = models.Publisher.objects.all()
    serializer_class = PublisherModelSerializer

    def get_queryset(self):
        if self.request.version == 'v1':
            return models.Publisher.objects.all()[:2]
        else:
            return self.queryset.all()

2. 认证  

2.1 概述

身份验证是将传入请求与一组标识凭据（例如请求来自的用户或其签名的令牌）相关联的机制。然后 权限 和 限制 组件决定是否拒绝这个请求。

简单来说就是：

  • 认证确定了你是谁
  • 权限确定你能不能访问某个接口
  • 限制确定你访问某个接口的频率

REST framework 提供了一些开箱即用的身份验证方案，并且还允许你实现自定义方案。

                        

2.2基于Token的认证方案

  • (1) model设计 
    class UserInfo(models.Model):
    name = models.CharField(max_length=32)
    password = models.CharField(max_length=32)
    vip =models.BooleanField(default=False)
    token = models.CharField(max_length=128,blank=True,null=True)
  • (2) url 
    #此处是又创建了APP在根路由通过include实现路由的分发
urlpatterns = [
    url(r'^reg/$', views.RegView.as_view()),
    url(r'^login/$', views.LoginView.as_view()),
    url(r'^test_auth/$', views.TestAuthView.as_view()),  #测试登录认证
]
  • (3)认证类 
    from rest_framework.authentication import BaseAuthentication
from rest_framework.exceptions import AuthenticationFailed
from BAR import models

class MyAuth(BaseAuthentication):
    #重写authenticate方法
    def authenticate(self, request):
        # 必须返回元组，或者抛出 AuthenticationFailed 异常
        token = request.query_params.get('token')
        if token:
            #如果请求的URL中携带了token参数
            user_obj = models.UserInfo.objects.filter(token=token).first()
            if user_obj:
                #如果token是有效的
                return user_obj,token
            else:
                raise  AuthenticationFailed('无效的token')
        else:
            raise AuthenticationFailed('请求的URL必须携带token参数')
  • (4)视图 
    from rest_framework.views import APIView
from BAR import models
from rest_framework.response import Response
import uuid

class RegView(APIView):
    '''
    注册用户类
    '''
    def post(self,request):
        name = request.data.get('name')
        pwd = request.data.get('password')
        re_pwd = request.data.get('password')
        if name and pwd:
            if re_pwd == pwd:
                models.UserInfo.objects.create(name=name,password=pwd)
                return Response('账号注册成功')
            else:
                raise Response('两次输入的密码不一致')
        else:
            return Response('无效的参数')

class LoginView(APIView):
    def post(self,request):
        name = request.data.get('name')
        pwd = request.data.get('password')
        if name and pwd:
            user_obj = models.UserInfo.objects.filter(name=name,password=pwd).first()
            if user_obj:
                #登录成功
                #生成token(事件戳+mac地址)
                token = uuid.uuid1().hex
                #保存在用户表中
                user_obj.token = token
                user_obj.save()
                #给用户返回
                return Response ({'error_no':0,'token':token})
            else:
                #用户名或者密码错误
                return Response ({'error_no':1,'error':'用户名或密码错误'})
        else:
            return Response('无效的参数')
  • 局部配置 
    from BAR.auth import  MyAuth

class TestAuthView(APIView):
    # 视图级别的认证
    authentication_classes = [MyAuth, ]

    def get(self,request):
        return Response('这个视图里面的数据只有登录后才能看到')
  • 也可以在全局配置 
    #在settings文件中
REST_FRAMEWORK = {
    ...
    'DEFAULT_AUTHENTICATION_CLASSES': ['auth_demo.auth.MyAuth', ]
    #列表 -- 可以是多个
}

注: 一般都是全局配置,极个别情况下会给某个视图配置   局部的配置优先级高于全局配置

另外:authenticate方法返回值: 返回元组，元组的第一个元素赋值给 request.user 第二个元素复制给了request.auth

2.3 authenticate方法 抛错后:

 

注;从上述可以得出当 捕获到报错(raise),此时执行的  _not_authenticated  方法的return 结果 : user &auth 都赋值为None 

3.权限

自定义一个权限类 (只有VIP用户才能看的内容)

  • 3.1自定义权限类 
    from rest_framework.permissions import BasePermission

class MyPermission(BasePermission):
    message = '只有VIP才能访问'

    def has_permission(self, request, view):
            #通过上面的认证源码得知:当不输入token参数或者未登录,则 user ,auth 均为None,当auth存在则此时的user不为None
            if not request.auth:
            return False
        #当有Vip才有权限访问
        #if request.user 当前经过认证的用户对象
        if request.user.vip:
            return True
        else:
            #如果不是Vip就拒绝的范围
            return False
  • 3.2 视图 
    from BAR.auth import  MyAuth
from BAR.permissions import MyPermission

class TestAuthView(APIView):
    authentication_classes = [MyAuth, ]
    permission_classes = [MyPermission, ]

    def get(self,request):
        return Response('这个视图里面的数据只有登录后才能看到')

注:可以全局范围配置

REST_FRAMEWORK = {
    "DEFAULT_AUTHENTICATION_CLASSES": ["BAR.auth.MyAuth", ],
    "DEFAULT_PERMISSION_CLASSES": ["BAR.permissions.MyPermission", ]
}

关于报错; 

 'AnonymousUser' object has no attribute 'vip'   (匿名用户没有VIP权限,)

 原因:由于permissions.py中没有判断是否通过认证(即request.auth是否存在)

4.限制

4.1 自定义限制类

  • (1) throttle.py 
    import time
visit_record ={}
class MyThrottle(object):
    def __init__(self):
        self.history = None

    def allow_request(self,request,view):
        print(request.META)
        #拿到当前的请求的ip作为访问记录的key
        ip = request.META.get('REMOTE_ADDR')
        now = time.time()
        if ip not in visit_record:
            visit_record[ip] = []
        #把当前的请求的访问记录拿出来保存到一个变量中
        history = visit_record[ip]
        self.history = history
        #循环访问历史,把超过10 秒钟的请求事件去掉
        while history and now - history[-1] >10:
            history.pop()
        if len(history) >=3:
            return False
        else:
            self.history.insert(0,now)
            return True

    def wait(self):
        now = time.time()
        return self.history[-1] +10 -now
  • (2) 视图 
    from BAR.XXX import MyThrottle

class TestAuthView(APIView):
    # authentication_classes = [MyAuth, ]
    # permission_classes = [MyPermission, ]
    throttle_classes = [MyThrottle, ]

    def get(self,request):
        return Response('这个视图里面的数据只有登录后才能看到')
  • 注, 全局使用 
    #在settings文件中进行配置
"DEFAULT_THROTTLE_CLASSES": ["BAR.throttle.MyThrottle", ],

4.2 使用内置限制类

  • (1) throttle.py 
    #使用内置限制类
from rest_framework.throttling import SimpleRateThrottle

class VisitThrottle(SimpleRateThrottle):

    scope = "xxx"

    def get_cache_key(self, request, view):
        return self.get_ident(request)
  • (2) 全局配置 
       #在settings文件中进行配置
   "DEFAULT_THROTTLE_CLASSES": ["BAR.XXX.VisitThrottle", ],
    "DEFAULT_THROTTLE_RATES": {
        "xxx": "1/s",
【推广】 免费学中医，健康全家人
原文地址：https://www.cnblogs.com/wcx666/p/10274280.html